Для кого эта статья: все, кто запускает Plex Media Server на ПК, NAS, домашнем сервере, облачном сервере или в Docker, особенно если он доступен из интернета. Эта страница основана на уведомлении о безопасности самой Plex, NVD, данных бюллетеня CISA и каталоге KEV; в ней нет шагов атаки или кода эксплойта.
Развивается: страница будет обновляться по мере публикации новых сведений
- Кого это касается
все, кто запускает Plex Media Server на ПК, NAS, домашнем сервере, облачном сервере или в Docker, особенно если он доступен из интернета. Эта страница основана на уведомлении о безопасности самой Plex, NVD, данных бюллетеня CISA и каталоге KEV; в ней нет шагов атаки или кода эксплойта.
- ПодтвержденоСмотреть таблицу ↓
- Затронутые и исправленные версии
- В цепочке вход не нужен
- Атаки на устаревшие серверы
Ещё 2
- Для чего использовались скомпрометированные серверы
- KEV CISA
- Пока не подтверждено
- Сколько серверов скомпрометировано
- Делали ли злоумышленники что-то кроме установки майнеров и прокси-программ
- Предлагают ли теперь магазины приложений всех производителей NAS исправленную версию
- Что сделать сейчасСмотреть шаги ↓
- Проверьте версию сервера
- Обновитесь до 1.43.3.10861 или новее
- Сократите доступность из сети
Ещё 2
- Если старая версия была доступна из интернета, проверьте ее на компрометацию
- Считайте открытым то, к чему имел доступ сервер
- Где проверить (источник)Все источники ↓
- Plex, «Important Security Update for Plex Media Server v1.43.2 and earlier» (1 сентября, обновлено 19 октября UTC)
- Последняя проверка
- По состоянию на 31 октября 2026 года (JST)
Планы обновлений и что мы проверили
Уведомление Plex, исправленный выпуск и записи KEV опубликованы. 31 октября мы проверили сообщения Plex на форуме, NVD, данные бюллетеня CISA и ленту KEV (версия 2026.10.30).
Что делать сегодня
Проверьте версию сервера
Откройте Plex Web, перейдите в «Настройки», затем «Общие», и посмотрите указанную версию. По словам Plex, версии 1.43.3.10861 и новее не затронуты. Проверьте все свои серверы, включая старые на NAS или запасном ПК.
Обновитесь до 1.43.3.10861 или новее
В Windows и macOS убедитесь, что автоматическое обновление действительно установило новую версию, или скачайте ее со страницы загрузок Plex. В Linux установите новый пакет .deb или .rpm. Для Docker загрузите актуальный образ, как описано в Docker-репозитории Plex. Для NAS Plex предупреждает, что магазин приложений производителя может отставать; скачайте пакет для своего устройства у Plex и воспользуйтесь функцией ручной установки NAS.
Сократите доступность из сети
Plex советует отключить удаленный доступ («Настройки», «Удаленный доступ»), если он не нужен, и не перенаправлять порт 32400 напрямую без необходимости. Проверьте на маршрутизаторе правила перенаправления портов или UPnP, указывающие на сервер.
Если старая версия была доступна из интернета, проверьте ее на компрометацию
Plex советует исходить из того, что такой сервер может быть скомпрометирован. Ее проверки в общих чертах: незнакомые вам процессы, запущенные Plex Media Server, незнакомые файлы в папке Plex Codecs, неожиданные исходящие соединения и устойчиво высокая загрузка процессора, когда ничего не воспроизводится.
Если вы нашли что-то из этого или не можете исключить компрометацию, Plex рекомендует пересобрать сервер с чистой установки, а не использовать старую папку данных Plex. Как минимум удалите все из папки Codecs и проверьте Preferences.xml на параметры транскодера, которые вы не задавали. Затем выйдите на всех устройствах в настройках учетной записи Plex и смените пароль Plex.
Считайте открытым то, к чему имел доступ сервер
Plex советует считать потенциально раскрытым все, к чему имела доступ служебная учетная запись Plex, например подключенные общие папки и учетные данные, хранящиеся на той же машине или виртуальной машине. Смените хранящиеся там пароли и проверьте другие устройства в той же сети.
Что было раскрыто
- Продукт
- Plex Media Server — программа, которая отдает приложениям Plex вашу собственную медиатеку видео, музыки и фотографий
- CVE
- CVE-2026-96652 (подделка запросов на стороне сервера, SSRF), CVE-2026-96654 (значения URL не нейтрализуются), CVE-2026-96655 (SSRF; Plex описывает ее как раскрытие токена администратора владельца), CVE-2026-96656 (запись произвольных файлов пользователем-администратором)
- Общий эффект
- Выполнение кода с привилегиями процесса Plex Media Server без аутентификации при объединении в цепочку (Plex)
- Серьезность
- По отдельности CVSS v3.1 от 4,3 до 7,2 (оценки CISA как центра присвоения CVE). Исследователь оценивает всю цепочку в 9,8; это не официальная оценка
- Затронуты
- Версии до 1.43.3.10861
- Исправлено
- 1.43.3.10861 (выпущена для всех 4 августа 2026 года). Последняя на 31 октября: 1.43.5.11079
- Эксплуатация
- «Активно и массово эксплуатируются» против необновленных серверов, доступных из интернета (Plex, 19 октября UTC)
- KEV
- Добавлены 20 октября. Срок — 23 октября (CVE-2026-96654, -96656) и 3 ноября (CVE-2026-96652, -96655). CVE-2026-96656 также отмечена для требований CISA по криминалистической сортировке (forensic triage)
В данных бюллетеня CISA к тому же выпуску указана и пятая уязвимость, CVE-2026-96651 (обход каталогов, чтение файлов при наличии действующего токена сеанса). Она исправлена в той же версии и не внесена в каталог KEV.
1. Проверить версию
«Настройки», «Общие»: 1.43.3.10861 или новее?
2. Обновить и закрыть порт
Обновить; отключить неиспользуемый удаленный доступ
3. Проверить открытые серверы
Проверки Plex; при сомнениях переустановить
Хронология
3–4 августа 2026 года
Plex Media Server 1.43.3.10861 выходит в бета-канале (3 августа), а затем для всех (4 августа).1 сентября
Plex публикует уведомление о безопасности с призывом ко всем владельцам серверов обновиться до 1.43.3 или новее и сообщает, что запросила CVE.23 сентября
Опубликованы записи CVE с исправленной версией 1.43.3.10861.16 октября
Исследователь безопасности, нашедший цепочку, публикует подробности под названием Plex2Shell, и появляется общедоступный proof of concept (Plex).17 октября
Исследователь безопасности сообщает, что видел эксплуатацию цепочки против ловушки (honeypot) для установки майнера криптовалюты.19 октября (UTC)
Plex обновляет уведомление, добавив список CVE, и сообщает, что уязвимости активно и массово эксплуатируются.20 октября
CISA добавляет все четыре CVE в каталог KEV.26 октября
Plex Media Server 1.43.5.11079 выходит для всех.
Что известно и что нет
| Пункт | Что говорят источники | Статус |
|---|---|---|
| Затронутые и исправленные версии | До 1.43.3.10861; исправлено в 1.43.3.10861 | Подтверждено |
| В цепочке вход не нужен | Указано Plex | Подтверждено |
| Атаки на устаревшие серверы | Активно и массово эксплуатируются (Plex) | Подтверждено (эксплуатация, по данным Plex) |
| Для чего использовались скомпрометированные серверы | Майнеры криптовалюты и прокси-программы (Plex) | Подтверждено (эксплуатация, по данным Plex) |
| Число скомпрометированных серверов | Не опубликовано | Не указано |
| Кража данных или учетных данных с серверов | Не опубликовано | Не указано |
| KEV CISA | Все четыре добавлены 20 октября | Подтверждено |
Почему оценки скрыли риск
Ни одна из четырех CVE сама по себе не получает больше 7,2. Судя по векторам CVSS, для трех из них нужен вход: для CVE-2026-96652 и CVE-2026-96655 — с низкими привилегиями, для CVE-2026-96656 — с правами администратора. По словам Plex, в цепочке не нужно ни то, ни другое. Очередь исправлений, отсортированная по отдельным оценкам CVSS, поставила бы их почти в самый конец, поэтому здесь запись в KEV важнее цифр (см. как решить, какие CVE исправлять первыми).
Кроме того, исправление было доступно более двух месяцев до публикации подробностей. Серверы с автоматическим обновлением уже были защищены. Серверы на NAS, где магазин приложений отставал, или настроенные однажды и забытые — нет.
Исследователь, нашедший цепочку, пишет, что при поиске и проверке уязвимостей активно использовались большие языковые модели. Находить цепочки мелких ошибок в домашнем программном обеспечении становится дешевле, поэтому промежуток между исправлением и атакой может сокращаться.
Источники
Проверено 31 октября 2026 года (JST).
- Plex, «Important Security Update for Plex Media Server v1.43.2 and earlier» (1 сентября, обновлено 19 октября UTC) — forums.plex.tv
- Plex, объявления о выпусках Plex Media Server — forums.plex.tv
- NVD, CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
- CISA, данные бюллетеня по Plex Media Server (VA-26-266-01) — github.com/cisagov
- CISA, Known Exploited Vulnerabilities Catalog (добавлено 20 октября 2026 года) — cisa.gov
- Разбор цепочки исследователем безопасности, Plex2Shell (16 октября 2026 года) — zmain.info
- Сообщение исследователя безопасности об эксплуатации на практике (17 октября 2026 года) — boredhackerblog.info
История обновлений
2026-10-31: Первая версия, основанная на уведомлении о безопасности Plex, NVD, данных бюллетеня CISA и каталоге KEV.
Читайте далее
- Приоритизация исправлений: Какую CVE закрывать первой (CVSS, EPSS, KEV)
- Проверка на компрометацию: Как проверить, не взломан ли сервер
- Эксплуатировались в том же месяце: Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Порядок действий: Практика реагирования на уязвимости
- Термины: Что такое SSRF? / Что такое удаленное выполнение кода (RCE)? / Что такое CVSS?